个人信用信息权益的法律构造

吴高臣

[首都师范大学，北京 100089]

随着社会信用立法的不断推进，失信惩戒守信激励成为社会治理的重要举措，个人信用信息权益保护日益为社会关注，相关研究也日渐丰富。然而，关于个人信用信息权益的研究，多从信用信息主体赋权出发，从不同视角分析个人信用信息权益的构造。赋权虽能为个人信用信息权益提供一定的保障，但囿于技术因素和人为因素的交织，信用信息处理者侵害个人信用信息权益的情形时有发生，知情同意规则基本流于形式，事后民事救济也无法提供充分的保障，个人信用信息权益保护状况并不令人满意。这就使得我们必须重新审视个人信用信息权益体系化的思路，除了传统的赋权方式外，是否需要更多地关注信用信息处理者义务和政府监管职责？信用信息一旦进入处理过程，个人即失去了对信用信息的控制，需要依赖信用信息处理者保护其权益。信用信息处理者的地位决定了个人信用信息权益的法律构造必须关注信用信息处理者义务，舍此无法合理保护个人权利。而政府承担着信用信息处理者义务履行的监管职责，这也对个人权利的保护发挥着重要作用。即使仅就赋权方面观察，赋予个人何种具体权益以及这些权益的相互关系，学界的认识也不一致。这些问题的妥善解决皆须遵循信用信息权益保护的立法目的，因为立法目的决定了具体制度设计。本文立足个人信用信息权益的立法目的，依托结构洞理论厘清个人、信用信息处理者和政府在社会信用网络中的关系和地位，明确个人信用信息权益保护的关键节点，构建个人信用信息权益的法律构造，以期促进数字经济的发展，提升社会治理水平。

一、个人信用信息权益的立法目的

目的是法律的全部创造者。每条法律规则的产生都源于一种目的，即一种实际的动机。(1)耶林语，转引自[美]博登海默：《法理学：法律哲学与法律方法》，北京：中国政法大学出版社，1998年，第109页。2017年《民法总则》明确规定保护个人信息，但并未未将个人信息界定为权利，结合该法第3条“民事主体的人身权利、财产权利以及其他合法权益受法律保护”之规定，可以推定《民法总则》系以权益之名保护个人信息。2020年《民法典》沿袭了个人信息的权益保护模式。《民法典》第1条明确规定了五方面的立法目的，保护民事主体的合法权益是其首要目的。在该目的指引下，《民法典》第五章《民事权利》对民事主体所有享有的各项民事权利和权益进行整体规范。而个人信息保护的基本规范《民法典》第111条就属于第五章《民事权利》。第四编《人格权》通过名誉权、隐私权和个人信息保护具体制度设计提供了个人信息法律关系主体详细的权利义务规范，而第七编《侵权责任》则提供了完善的个人信息救济规则。这其中就包括了个人信用信息权益保护的具体规范，进一步而言，个人信用信息权益可以获得名誉权、个人信息制度的保护。必须注意的是，《民法典》第999条和第1036条确立了以公共利益为导向的个人信息的合理使用制度，不过这是在保护个人信息权益的总体框架之下合理使用。因此，合理使用显然不能与保护相提并论。从这种意义上说，《民法典》关于个人信用信息权益的立法目的主要在于保护。

2021年《个人信息保护法》直接使用了“个人信息权益”的概念，明确了我国对个人信息采取了权益保护模式。《个人信息保护法》第1条开宗明义阐明了其三重立法目的，“保护个人信息权益，规范个人信息处理活动，促进个人信息合理利用”。虽然《民法典》关于个人信息的立法目的主要在于保护，但其第四编《人格权》直接涉及个人信息保护的规定共9个条文，其中7个条文涉及规范个人信息处理活动。由此可见，规范个人信息处理活动是保护个人信息权益的重要手段。从这种意义上说，《民法典》保护个人信息权益的立法目的可以涵盖规范个人信息处理活动的立法目的。如此一来，《个人信息保护法》的立法目的也可以由三重简化为两重：“保护个人信息权益”和“促进个人信息合理利用”。与《民法典》相比，《个人信息保护法》事实上只是强化了“促进个人信息合理利用”这一立法目的。法律的目的是在个人原则与社会原则之间形成一种平衡，个人的存在既为自身也为社会，以实现共同的文化目的。(2)耶林语，转引自[美]博登海默：《法理学：法律哲学与法律方法》，第109页。进入信息时代，个人信息保护不仅是对信息本身的控制，亦应重视信息的有效利用。数字经济遵循共创、共享、共治的价值理念，保护和利用应当成为个人信用信息权益的双重立法目。作为数字时代基本法，《个人信息保护法》兼顾个人信息的保护与利用，在保护的基础上实现到个人信息被有序、可控地使用和流转。(3)参见袁泉、王思庆：《个人信息分类保护制度及其体系研究》，《江西社会科学》2020年第7期。《个人信息保护法》第13条将《民法典》的个人信息“合理使用”扩展至“在合理范围内处理”，并与《民法典》第999条和第1036条整合形成了完整的个人信息处理合法性基础体系。(4)参见张建文：《个人信息合理使用的立法创新与裁判立场》，《求是学刊》2021年第6期。作为个人信息保护的专门立法，其对个人信息保护的针对性更强，其立法目的也更加符合数字社会的发展需求。

与此同时，2017年以来我国各地社会信用立法，普遍采用“一般条款+专门章节”的模式保护信用主体权益和规范信用信息的使用。所谓一般条款，就是在地方社会信用立法的总则部分借助目的条款和适用范围条款，明确立法目的；所谓专门章节就是将信用主体权益保护和信用服务(业)发展设立为地方社会信用立法专门章节，落实立法目的。以《吉林省社会信用条例》为例。(5)《民法典》《个人信息保护法》颁行后，各地新近出台的社会信用立法普遍遵循该两部法律关于信息保护的相关规则。《吉林省社会信用条例》就是这方面的典型代表。该条例2021年9月28日通过，自2022年1月1日实施。该条例第1条规定：“为了加强社会信用信息管理，规范社会信用服务，保护信用主体合法权益，推进社会信用体系建设，提升全社会信用水平，根据有关法律、行政法规，结合本省实际，制定本条例。”(6)《吉林省社会信用条例》第1条。该目的条款确立了吉林省社会信用的多重目的，这其中就包括规范社会信用服务，保护信用主体合法权益。该条例第2条规定：“本省行政区域内社会信用信息的采集、归集、共享、公开、查询和使用，守信激励和失信惩戒，信用主体权益保障，信用服务行业规范与管理，以及社会信用环境建设等活动，适用本条例。”(7)《吉林省社会信用条例》第2条。据此，信用主体权益保障和信用服务业规范与管理等适用吉林省社会信用条例。该条例第五章为“信用主体权益保障与信息安全”、第六章为“信用服务与监督管理”以具体规范落实信用主体权益保障和信用信息的利用。

从《民法典》到《个人信息保护法》关于个人信息保护的立法目的到地方社会信用立法的立法目的分析，可以发现信用信息的立法目的不仅仅在于单纯保护个人信用信息权益，还要保护个人信用信息的合理利用。毕竟随着信息技术的迭代，人人成为信用信息的提供者，也成为信用信息的利用者。传统权益保护注重控制的诉求无法适应数字社会的发展，信用信息立法不仅注重对信用信息的保护，还要促进信用信息的合理流通与利用。信用信息处理者收集、存储、使用、加工、传输、提供、公开、删除个人信用信息，可以对个人进行信用画像，满足个人在社会交往过程中的信用需求。在这一过程中，个人提供并利用了自己的信用信息，信用信息处理者获取并处理了个人信用信息，展现了个人信用信息的社会价值(包括商业价值)。个人信用信息不仅体现个人利益，也包含社会公共利益，甚至国家利益。百年未有之大变局，更凸显了信用信息流通和利用的重要性。如果一味强调个人信用信息的控制，将产生两方面不利后果。一是个人获取自身信用评价将付出较高的成本。这可以从我国住房货币化改革初期按揭贷款购房中个人付费获得个人信用报告得到印证。二是影响了信用信息的流通与使用，不符合数字社会的发展趋势。如今欧美发达国家均通过立法促进信用信息流通，维护其在国际社会中的战略地位。欧盟《通用数据保护条例》第1条第1款规定：“本条例旨在确立与个人数据处理有关的个人保护规则和个人数据自由流通规则。”(8)Art. 1(1),General Data Protection Regulation,https://gdpr-info.eu/art-1-gdpr/,2021/12/27.我国数字经济蓬勃发展，应当兼顾个人信用信息保护和利用，促进社会进步。因此，个人信用信息权益具有双重立法目的：保护与利用。

二、基于结构洞理论的个人信用信息权益法律构造

不同时期不同国家的个人信用权益存在不同的法律构造。我国个人信息权益的内容，必须立足我国社会信用立法实践，关注并解决现实中的个人信用信息权益保护问题。个人信用信息权益的立法目的决定了必须合理平衡保护和利用的关系。而个人信用信息的法律性质，决定了保护和利用所涉及的具体关系。详言之，个人信用信息的个人利益属性，决定了个人与信用信息处理者之间的利益平衡；个人信用信息的公共利益属性，决定了信用信息处理者和政府之间的监管关系。当然，分析个人信用信息权益的法律构造又不能拘泥于实践，应从理论层面加强对立法的指引，实现不同部门法法益的协调，进一步促进社会信用体系建设的法治化。只有妥善处理理论与实践、共性与个性的关系，才能发现个人信用信息权益的合理构造，才能推动个人信用信息保护的体系化。

1992 年罗纳德·S.伯特提出了结构洞理论，研究社会网络的结构形态，分析网络结构对行动主体获胜的影响。(9)参见[美]罗纳德·S.伯特：《结构洞：竞争的社会结构》，任敏、李璐、林虹译，上海：格致出版社、上海人民出版社，2017年，第9页。在特定社会结构中至少存在三方当事人。如果两方当事人之间缺少直接联系，而必须通过第三方当事人才能形成联系，那么这两方当事人之间的联系就是断裂的，第三方当事人就处于结构洞位置。第三方当事人是其他两方当事人联系的纽带和桥梁。因此结构洞可以控制信息流动，从而产生信息利益和控制利益，使得处于结构洞位置的关系人在特定关系谈判中处于优势地位。(10)参见[美]罗纳德·S.伯特：《结构洞：竞争的社会结构》，第28-34页。既然结构洞可以产生信息利益和控制利益，因而结构洞就成为解决社会问题的关键节点。那么，结构洞理论是否可以运用于法学领域对个人信用信息权益的构造进行分析呢？结构洞理论不是关于竞争关系的理论，而是关于为利益关系而竞争的理论。(11)[美]罗纳德·S.伯特：《结构洞：竞争的社会结构》，第5页。个人信用信息权益保护涉及个人、信用信息处理者和政府，三方围绕个人信用信息的保护和利用形成了复杂的利益关系。个人期望其信用信息权益获得充分保护，信用信息处理者期望信用信息的自由利用，政府期望信用信息助力经济社会健康发展。从这种意义上说，个人、信用信息处理者和政府的利益追求并不完全一致，可以利用结构洞理论展开研究。大量的孤立个人、一定数量的信用信息处理者和政府构成了庞大的社会网络系统，个人、信用信息处理者和政府扮演着不同的角色。(1)个人期望自己的信用信息权益被充分保护，信用信息的利用为自己完全控制。现实状况是个人信用信息为信用信息处理者掌握，其与信用信息处理者保持着直接联系。这一联系属于强关系，个人依赖信用信息处理者获取自己全面的信用信息，信用信息处理者依赖个人提供其信用信息。个人与政府之间的联系属于弱关系，个人依赖政府保护其个人信用信息权益，但双方通常不直接联系。(2)信用信息处理者希望合理限制个人的权益而充分赋予其利用信用信息的权利。信用信息处理者与政府之间的联系属于强关系，政府监管信用信息处理者的信息处理行为，也通过信用信息处理者获取个人信用信息。(3)政府是利益分配者，通过制定法律调整个人和信用信息处理者之间围绕控制和利用的利益冲突，承担着信用信息处理者的监管职责，与信用信息处理者保持着直接联系。在当今社会，政府还承担着促进经济社会发展的职责，更倾向于推动信用信息的利用从而加快数字经济的发展。这就使得政府与信用信息处理者的联系更加密切。由此可见，个人和政府之间处于弱关系，存在结构洞。信用信息处理者既与个人直接联系，又与政府保持良好的沟通，依托其业务和资源优势成为处于结构洞位置的关系人，成为个人信用信息权益保护形成的社会网络的关键节点。进一步而言，个人信用信息权益保护的关键不在于赋予个人充分的权益和政府有力的监管职责，而在于课以信用信息处理者足够的义务。

个人信用信息权益保护的也实践表明，以“知情同意”为核心构建的个人信用信息权益制度无法为个人提供充分的保障。信用信息处理者处理个人信用信息均采取详细繁杂的格式条款予以告知，个人通常无意或者没有时间阅读。“知情同意”制度表面上保护了个人的知情权和同意权，但大多数个人事实上并不知情，也不清楚自己同意的边界。或者说，面对信用信息处理者所谓告知，个人并未深思熟虑。虽然法律规范的基础人类形象是理性人，但“理性人”不过是“一种理想，一种标准”，与其说他是某一种人的代表，不如说他是某一种理性的代表，在这种理性后面潜伏的正是某种规则。从某种意义上说，长久以来法学理论对于规则的重视超过了对人本身的关注。(12)参见赵晓力：《民法传统经典文本中“人”的观念》，《北大法律评论》1998年第1卷第1辑。现代民法中的人是“具体的人”，是弱小的、无知的、需要同情和保护的人，尤其是穷人以及轻率从事、意志薄弱的人。(13)参见星野英一：《私法中的人》，载梁慧星主编：《民商法论丛》第8卷，北京：法律出版社，1997年，第175-194页。对于信用信息处理者而言，其投入大量资源制订信用信息处理的公告以合理规避法律风险，但对处理个人信用信息过程中的种种风险则关注不够。从这种意义上说，知情同意制度保护了信用信息处理者，或者说构成了信用信息处理者的免责事由。那么，政府监管职责是否能够充分保护个人信用信息权益呢？政府对信用信息处理者的监管在于落实信用信息处理行为的合法性和合理性。合法性针对的就是知情同意制度，合理性针对就是正当原则和必要原则。(14)《民法典》第1035条规定：“处理个人信息的，应当遵循合法、正当、必要原则，不得过度处理，并符合下列条件：(一)征得该自然人或者其监护人同意，但是法律、行政法规另有规定的除外；(二)公开处理信息的规则；(三)明示处理信息的目的、方式和范围；(四)不违反法律、行政法规的规定和双方的约定。个人信息的处理包括个人信息的收集、存储、使用、加工、传输、提供、公开等。”一般而言，合法性是监管的基础和重点。这又回到了知情同意制度。这样一来，仅依靠政府监管职责也难以为个人信用信息权益提供充分的保障，需要另辟蹊径，从信用信息处理者义务入手。这一路径与结构洞理论指向了相同的方向。

为了实现保护与利用的双重立法目的，必须构建合理的个人信用信息权益法律构造。个人信用信息权益包含私人利益和公共利益，并不仅仅停留在个人利益的保护，更侧重对大量个人的整体利益保护。在个人、信用信息处理者和政府组成的信用网络中，信用信息处理者处于联系个人、政府的结构洞位置。信用信息处理者拥有信息利益和控制利益，必须承担更多的保护义务。这是个人信用信息权益公益性的重要体现。在信用网络中，政府作为主要的监管者，必须主动监管和动态监管，这也是个人信用信息权益公益性的必然要求。因此个人信用信息权益制度，不仅包括知情权、决定权等等权益，还涵盖信用信息处理者保护义务和政府监管职责。这就形成了个人信用信息权益的双重构造：一是自主权益，个人对其个人信息拥有的自主控制、支配和决定(15)参见程啸：《民法典编纂视野下的个人信息保护》，《中国法学》2019年第4期。，这一论断同样适用于个人信用信息权益；二是防御权益，即依赖信用信息处理者义务和政府监管职责保障个人自主利益不被侵害的权益。

三、自主权益：以知情权为基础的个人信用信息权能体系

自主权益的内容可以通过对《民法典》、《个人信息保护法》以及地方社会信用立法的法教义学分析确定，具体体现为个人拥有的各项权能。(16)不少学者将个人信用信息权益包含的知情权、决定权、删除权等称之为权利，现行立法也将其称之为权利，亦有学者将其称之为权能。从其独立性和重要性考虑，宜将其称之为权能。参见申卫星：《论个人信息权的构建及其体系化》，《比较法研究》2021年第5期，第3-4页。现行社会信用地方立法基本套用相关立法个人信息权益保护的规定，未能充分体现个人信用信息权益的特点。学者通常直接列明个人信用信息权益的各项具体权能(包括知情权、决定权、查阅权、复制权、要求信用信息处理者解释说明的权利、可携带权、修改权、删除权、修复权等)，尚缺乏对其构造的法教义学体系建构。从权能的内涵分析，查阅权、复制权以及要求信用信息处理者解释说明的权利均属于知情权范畴，可携带权属于决定权范畴。修改权和删除权适用的情形虽然有所不同，但都是对目前的个人信用信息进行再处理，以保证个人信用信息准确反映其目前的信用状况，因而可以将二者归入一类，称之为修改权。这样一来，上述各项权能应归纳为知情权、决定权、修改权、修复权四项权能。从权能的关系分析，个人有权知悉信用信息处理的目的、范围、规则和结果，因此知情权是其他权益的基础。而决定权、修改权、修复权等权益以个人对其信用信息知情为前提。这就形成了自主权益的双层结构。

(一)知情权

《民法典》第1035条以信息处理者告知义务的方式确立了个人知情权的基本内容。《个人信息保护法》通过第17条、第18条、第44条、第45条、第48条和第50条建立了以信用信息处理者告知义务为主的知情权权利体系。根据《吉林省社会信用条例》第17条第1款的规定，个人享有查询自身社会信用信息的权利。(17)《吉林省社会信用条例》第17条第1款。据此，个人有权知晓信用信息处理者处理个人信用信息规则、目的、方式、范围和结果。知情权具有集合性，即知情权并非一项内容单一的权利，而是一组相关权利的抽象概括。从上述法律法规出发，知情权包括查阅权和查询权。

1.查阅权

查阅权是个人查阅、复制信用信息处理者基本信息和个人信用信息处理规则、目的、方式、范围的权利。《个人信息保护法》关于查阅权内容和行使程序直接规定较少。其实不然，查阅权与信用信息处理者的告知义务相对应，现行立法多从信用信息处理者告知义务的角度规范查阅权。《个人信息保护法》第18条第1款为信息处理者不履行告知义务的但书条款、第35条为国家机关不履行告知义务的但书条款，均从反面指出了个人查阅权的范围，包括：信息处理者的名称或者姓名和联系方式；个人信息的处理目的、处理方式，处理的个人信息种类、保存期限；个人行使权利的方式和程序；个人信息等等。(18)《个人信息保护法》第17条、第18条、第35条和第45条。《吉林省社会信用条例》第12条规定了信用信息处理者的告知义务，但其告知范围小于《个人信息保护法》。从法律位阶出发，当涉及信用信息处理者告知义务范围的情形时应当以《个人信息保护法》为准。

《个人信息保护法》第48条规定：“个人有权要求个人信息处理者对其个人信息处理规则进行解释说明。”(19)《个人信息保护法》第48条。信用信息处理规则通常包含大量专业术语，个人无法准确理解其准确含义。对于个人的疑问，信用信息处理者应当以通俗易懂的语言进行解释说明。解释说明可以保障查阅权更好的落实。因此，请求解释说明属于查阅权的内容，不宜作为知情权一项单独的权能。

2.查询权

根据我国社会信用立法的规定，个人享有查询权。《征信业务管理办法》第25条规定：“个人信息主体有权每年两次免费获取本人的信用报告，征信机构可以通过互联网查询、营业场所查询等多种方式为个人信息主体提供信用报告查询服务。”(20)《征信业务管理办法》第25条。《吉林省社会信用条例》第17条规定：“信用主体享有查询自身社会信用信息的权利。提供社会信用信息查询服务的单位应当为其提供便利。国家机关和法律、法规授权的具有管理公共事务职能的组织政务共享、依职权查询公共信用信息，应当遵循合理行政的原则，获取的公共信用信息不得超出履行职责的范围使用，不得擅自公开。查询信用主体依授权查询的社会信用信息，应当取得信用主体的书面授权。法律、行政法规另有规定的除外”(21)《吉林省社会信用条例》第17条第1款。从技术层面而言，我国立法使用信用信息的概念并不严谨。信用信息经过技术处理成为征信数据，再经过汇集组合形成信用记录，再进行分类组合产生征信报告。(22)参见林钧跃：《论信用信息的界定》，《征信》2021年第4期。由此可见，查询权的对象是信用信息处理者处理后的个人信用信息，而不是未经处理的原料，将其称之为信用记录或者信用报告更为妥当。《个人信息保护法》并未规定查询权，该法第45条第1款规定：“个人有权向个人信息处理者查阅、复制其个人信息；有本法第十八条第一款、第三十五条规定情形的除外。”如前所述，查阅权与信用信息处理者告知义务相对应，其查阅的对象信用信息处理者基本信息和个人信用信息处理规则、目的、方式、范围。适用对象的区分厘清了查询权与查阅权的界限。《个人信息保护法》第45条一体规范查阅权和查询权，从“知情同意”规则考量，查阅权系关注的重点，分别规定查阅权和查询权更为合理。因此，所谓查询权是个人享有的查询其信用记录或者信用报告的权利。(23)值得注意是，社会信用立法中查询权的主体并不限于个人。国家机关等享有的查询权与个人享有的查询权具有不同的含义，前者其为公法意义上的查询权，后者为私法意义上的查询权。

借助知情权，个人可以获得信用信息处理者的基本信息，了解信用信息处理规则、目的、方式、范围和结果。由此可见，知情权是个人行使其他信用信息权益的基础，事实上包含着对信用信息处理者的监督。如果没有知情权的保障，决定权、修改权、修复权等权益也就难以实现。所以，知情权才是个人信用信息权益保护中最基础甚至最重要的权益，其他权益的实现均依赖知情权。

(二)决定权

决定权是个人享有的同意或者拒绝信用信息处理者处理其个人信息的权利。学者认为拒绝权为同意权之外的新权能，并将知情同意权能与拒绝权权能并列。(24)参见申卫星：《论个人信息权的构建及其体系化》，《比较法研究》2021年第5期。笔者认为，同意和拒绝都属于对个人信用信息处理事项的自主决定范畴，因此将同意权和拒绝权归入决定权。决定权是个人自决权在信用信息领域的具体化，个人作为独立主体，虽然无权阻止他人使用自己的信用信息，但有权自主决定如何被使用，而不是被决定。(25)参见高富平：《论个人信息保护的目的——以个人信息保护法益区分为核心》，《法商研究》2019年第1期。由此可见，同意只是允许信用信息处理者处理个人信用信息，信用信息处理者应当依照法律和约定处理。(26)参见高富平：《同意≠授权——个人信息处理的核心问题辨析》，《争鸣》2021年第4期。我国相关立法已经确立了个人信用信息处理的基本规范，信用信息处理者应当履行法定义务。同时，信用信息处理者通过履行告知义务满足个人知情权，这一告知义务的内容随着个人同意而成为双方约定的内容，信用信息处理者亦应当予以遵守。决定权是个人在信用信息处理活动中的重要权利，需要深入分析决定权的行使规则。

1.同意的原则

信用信息处理者处理个人信用信息，应当由个人在充分知情的前提下自愿做出同意与否明确的决定。根据《吉林社会信用条例》第31条第2款的规定，信用信息处理者向个人提供相关服务时，不得将该服务与社会信用信息采集相捆绑，强迫或者变相强迫个人接受。这就要求信用信息处理者履行告知义务，尊重个人知情权，尊重个人意愿，不得采取误导、欺诈、胁迫等不正当手段获取个人同意。

2.同意的范围

信用信息处理者处理个人信用信息，原则上应当取得个人事先同意，但并非一概需要取得个人同意。《个人信息保护法》规定了六种例外情形。(27)《个人信息保护法》第13条规定：“符合下列情形之一的，个人信息处理者方可处理个人信息：(一)取得个人的同意；(二)为订立、履行个人作为一方当事人的合同所必需，或者按照依法制定的劳动规章制度和依法签订的集体合同实施人力资源管理所必需；(三)为履行法定职责或者法定义务所必需；(四)为应对突发公共卫生事件，或者紧急情况下为保护自然人的生命健康和财产安全所必需；(五)为公共利益实施新闻报道、舆论监督等行为，在合理的范围内处理个人信息；(六)依照本法规定在合理的范围内处理个人自行公开或者其他已经合法公开的个人信息；(七)法律、行政法规规定的其他情形。依照本法其他有关规定，处理个人信息应当取得个人同意，但是有前款第二项至第七项规定情形的，不需取得个人同意。”同时，对需要取得个人同意的情形，原则上采取概括同意加单独同意的模式，即除非法律行政法规另有规定，个人采取概括方式同意信用信息处理者处理个人信息，但对特定个人信息的处理需要单独同意。根据《个人信息保护法》的规定，信息处理者需要取得个人单独同意的情形包括：(1)向其他信息处理者提供其处理的个人信息的；(2)公开其处理的个人信息的：(3)处理敏感个人信息的；(4)向境外提供个人信息的；等等。(28)《个人信息保护法》第23条、25条、29条。《个人信息保护法》第45条第3款确立了“可携带权”，即个人有权请求信息处理者将其个人信息转移至其他信息处理者。有学者主张可携带权归入个人信息获取权。(29)参见申卫星：《论个人信息权的构建及其体系化》，《比较法研究》2021年第5期。笔者认为，可携带权事实上赋予个人选择信息处理者的权利，应归入决定权范畴。《吉林省社会信用条例》第12条对作为敏感信息的个人财产信息同意规则作出规定：“除明确告知信用主体提供该信息可能产生的不利后果，并取得其书面同意外，不得采集个人的收入、存款、有价证券、商业保险、不动产和纳税数额信息。”(30)《吉林省社会信用条例》第12条。

3.特定情形下的拒绝权

一般而言，决定权包括两项内容：同意权和拒绝权。上述同意的原则和同意的范围，从反面观察，也是拒绝的规则和拒绝的范围。这里所谓特定情形下的拒绝权，并非与同意权相对应的一般意义上的拒绝权，是指个人在法律规定的特定情形之下享有的拒绝权。在我国立法中主要体现为两方面：一是同意的撤回，二是自动化决策的拒绝权。(1)同意的撤回。个人可以同意信用信息处理者处理个人信息，也可以基于自身意愿而撤回自己的同意。我国立法为个人同意的撤回提供了充分的保护，信用信息处理者不得以个人撤回同意为由，拒绝提供产品或者服务。当然，个人撤回同意，不影响撤回前基于个人同意已进行的个人信用信息处理活动的效力。(31)《个人信息保护法》第15条、第16条。(2)自动化决策的拒绝权。《个人信息保护法》第24条规定，通过自动化决策方式向个人进行信息推送、商业营销、做出对个人权益有重大影响的决定，个人有权拒绝。(32)《个人信息保护法》第24条。如果信用信息处理者采取自动化决策方式将个人信用信息用于信用画像并基于此向个人提供贷款信息、投资信息，个人权益将处于危险之中，个人可以通过拒绝权加以防范。

(三)修改权

个人发现信用信息不准确反映其信用状况，有权请求信用信息处理者予以更正、补充和删除。经过处理的个人信用信息不能准确反映个人信用状况的情形主要有两种：一是个人信用信息不正确、不完整；二是个人信用信息已经过时。无论存在何种情形，均构成对个人信用信息权益的侵害。为了保护个人信用信息权益，应当赋予个人修改权。在《民法典》、《个人信息保护法》确立修改权之前，征信领域相关立法已经存在修改权规范。2013年《征信业管理条例》第13条第1款规定：“征信机构对个人不良信息的保存期限，自不良行为或者事件终止之日起为5年；超过5年的，应当予以删除。”实践中亦有主张修改权的案例。在宋海勇诉泰安市岱岳农村商业银行股份有限公司名誉权纠纷案中，二审法院认为，“上诉人的不良记录虽然确因其提供担保形成，但上诉人的担保责任已经被生效的民事判决书免除，即不再是担保人身份，其不应再出现该笔贷款的不良担保记录。在客观情况发生改变的情况下，被上诉人有义务消除上诉人的该笔不良记录。”(33)宋海勇诉泰安市岱岳农村商业银行股份有限公司名誉权纠纷案，山东省泰安市中级人民法院(2017)鲁09民终896号民事判决书。《民法典》和《个人信息保护法》对修改权予以明确规范，此后颁布的地方社会信用立法则建立了较为完善的修改权规则。《吉林省社会信用条例》第32至35条明确了修改权的适用情形、行使规范和程序。个人可以在下列情形下行使修改权：“(1)社会信用信息记载与事实不符、存在错误或者遗漏的；(2)侵犯其商业秘密、个人隐私的；(3)失信信息超过公示期限仍在公示的；4)不符合失信主体认定标准而被列入或者未被移出失信名单的；(5)法律、法规和国家规定的其他情形。”(34)《吉林省社会信用条例》第32条。

(四)修复权

信用修复是指通过报告异议推动改变和删除个人信用报告中的不准确的或负面信息的过程。(35)宋哲泉、侯力冉：《美国信用修复相关情况综述》，《现代管理科学》2019年第2期。信用修复具有广义和狭义之分。广义的信用修复包括三种情形：一是过期信用信息的更新；二是错误信用信息的更正；三是失信行为的补救。狭义的信用修复仅指失信行为的补救。(36)参见李鑫：《信用修复制度：内涵界定、困境分析与路径选择》，《中国市场监管研究》2022年第2期。如前所述，我国在社会信用体系建设过程中，借助修改权解决过期信用信息更新和错误信用信息更正问题。信用修复仅仅针对失信行为的补救。《国务院关于建立完善守信联合激励和失信联合惩戒制度加快推进社会诚信建设的指导意见》(国发[2016] 33号)第一次在国家层面提出信用修复的概念：“建立健全信用修复机制。……在规定期限内纠正失信行为、消除不良影响的，不再作为联合惩戒对象。建立有利于自我纠错、主动自新的社会鼓励与关爱机制，支持有失信行为的个人通过社会公益服务等方式修复个人信用。”《国务院办公厅关于进一步完善失信约束制度构建诚信建设长效机制的指导意见》(国办发〔2020〕49号)指出：“除法律、法规和党中央、国务院政策文件明确规定不可修复的失信信息外，失信主体按要求纠正失信行为、消除不良影响的，均可申请信用修复。”据此，所谓修复权是指个人享有的请求纠正失信行为、消除不良影响的权利。目前，中央和社会信用立法多规定了信用修复制度。相比较而言，《市场监督管理信用修复管理办法》围绕市场主体违法失信行为的修复条件、修复方式和修复程序做出了全面细致的规定，对个人信用修复权的立法完善具有重要参考价值。

四、防御权益：信用信息处理者义务和政府监管职责

数字时代，个人信用信息被同意处理后，就进入了数据的汪洋大海，个人信用信息处理的各个环节都可能出现信息失真。究其原因，既有技术风险，也有人为因素，导致个人信用信息侵害行为事前不易防范、事中无法制止、事后难以查找的技术和法律困境。(37)参见王成：《个人信息民法保护的模式选择》，《中国社会科学》2019年第6期。质言之，赋予个人自主权益不足以为其提供相对充分保障。结构洞理论表明，处于结构洞位置的信用信息处理者将利用其信息优势和控制优势谋求自身利益最大化。实践也证明，数字时代作为中间节点的平台型公司都有利用数据霸权来获取最大商业利益的动机，在推动人类进步的同时，走向垄断甚至作恶。(38)参见赵国栋、易欢欢、徐远重：《元宇宙》，北京：中译出版社，2021年，第128-132页。据此，个人信用信息权益保护应更多地依赖信用信息处理者义务的履行，这才是保护个人信用信息权益的关键。这就打通了个人信用信息权益保护和信用信息流通之间的节点，兼顾了个人信用信息的保护与利用。此外，在政府主导的社会信用体系建设中必须充分发挥其主动监管和动态监管职责，这是个人信用信息权益公共利益属性的体现。信用信息处理者义务和政府监管职责成为保护个人自主权益的重心。相对于自主权益而言，强化信用信息处理者保护义务和政府监管职责这一举措属于防御性的，旨在保障个人信用信息权益不被侵害。

(一)信用信息处理者义务

《民法典》、《个人信息保护法》、《征信业务管理办法》等对信用信息处理者的义务做出了明确规定，特别是《个人信息保护法》以专章对个人信息处理者义务进行规范。信用信息处理者应当承担如下义务：告知义务、安全保障义务、保密义务、合规审计义务以及建立内部控制制度、个人信息保护负责人制度、个人信息保护影响评估制度等等。其中告知义务与个人知情权相对应，此处不赘；其他义务在实务层面基本上可以纳入内部控制机制，同时地方社会信用立法基本未涉及信用信息处理者内部控制机制。质言之，我国信用立法对信用信息处理者义务做出了相对全面的规定，落实该等义务是重中之重。因此，这里专门讨论内部控制机制。

根据《个人信息保护法》和《征信业务管理办法》的规定，信用信息处理者的内部控制机制需要从组织机构、业务规则和技术设施三方面进行建设。一是组织机构，即设置履行相应职责的机构，配备具有相应资质的从业人员。信用信息处理者应当设立信息安全负责人和个人信息保护负责人，设立专职部门负责信息安全管理工作，定期对从业人员进行安全教育和培训。提供重要互联网平台服务、用户数量巨大、业务类型复杂的个人信用信息处理者还应成立主要由外部成员组成的独立个人信息保护监督机构。二是业务规则，即建立完善的内部管理制度，明确相关业务流程和从业人员权限。作为行业专家，信用信息处理者熟悉信用信息处理中的风险点，应当围绕风险点建立健全相关内部管理制度。这些制度包括个人信息分类管理制度、个人信息保护影响评估制度、个人信息安全事件应急预案、合规审计制度等等。三是技术设施，即严格落实国家网络安全和信息技术安全有关规定。随着信息技术的进步，安全性与攻击性的矛盾也日益凸显。由于个人信用信息集中存储，一旦数据库被攻破，就可能发生严重泄漏。国内近年来发生的个人信息泄露事件已经引起全社会的警觉。信用信息处理者应当建立符合国家安全保护等级要求的业务系统网络，保障业务系统运行设施设备、安全控制设施设备以及互联网应用程序的安全，保障系统物理安全、通信网络安全、区域边界安全、计算环境安全、管理中心安全等，防范非法入侵和破坏。

信用信息处理者在承担其法定和约定义务的同时，也获得了个人信用信息的利用权，法律应当对信用信息处理者的该等权益予以保护。这也是个人信用信息权益保护立法目的的具体化。质言之，信用信息处理者义务划定了保护和利用的边界。信用信息处理者履行了义务，则个人信用信息权益获得了合理保护，其自身也可以合理使用信用信息。

(二)政府监管职责

个人信用信息具有私人利益和公共利益的双重属性，政府在个人和信用信息处理者之间围绕个人信用信息处理所形成的法律关系中处于监管者的角色。我国社会信用体系建设围绕政务诚信、商务诚信、社会诚信和司法公信展开，这就形成了由相关职能部门在各自权限范围内分别监管的模式。中国人民银行负责征信业监督管理，国家市场监管总局负责市场主体信用监管，国家发改委、最高人民法院等等其他机关也承担着特定领域的信用监管。由于个人信用信息权益保护通常涉及多个领域，经过多年实践，逐渐形成了牵头部门负责其他部门配合的多元监管模式。

一方面，各监管部门必须利用其与各自领域信用信息处理者之间的强关系，加强对信用信息处理者的监管。如前所述，个人自主权益是以知情权为基础构建的权能体系，监管的目的就是保证信用信息处理者尊重个人自主权益，认真落实各项义务。监管部门必须适用时代需求，变被动监管和静态监管为主动监管和动态监管。放、管、服改革的基本要求就是放出活力、管出公平、服出效率，实现活力、公平和效率的平衡。监管部门必须主动监管，指导信用信息处理者完善其内部控制制度，构建细致的合规体系，防患于未然而不是亡羊补牢。同时，监管部门必须加强监管手段的科技化，实施动态监管。(39)参见郑岩：《从私益到公益：金融信息权保护路径研究》，《辽宁大学学报(哲学社会科学版)》2021年第3期。随着信息技术的发展，信用信息处理者对个人信用信息处理的深度不断增加、广度不断扩展和速度不断提升，个人知情权、同意权的内容也应不断更新。借助信息技术手段可以更加高效地核验信用信息处理者告知义务内容的更新，更加快速地审查信用信息处理者的内部控制机制，更加便捷地发现监管漏洞，使得违法的信用信息处理者难以逃脱其法律责任。

另一方面，作为监管对象的信用信息处理者可能面临多头监管，而各监管部门如何协调一致形成监管合力也是必须解决的问题。(40)参见崔冬、相振宇：《征信领域中个人信用信息权益保护问题探究》，《征信》2015年第5期。同时，不少行业管理部门既是信用信息处理者又是该领域的个人信用信息监管者，虽然在该管理部门内部承担信用信息处理与监管职能的机构相互分离，但依然存在角色冲突。根据《个人信息保护法》第60条的规定，国家网信部门负责统筹协调个人信息保护工作和监督管理工作，国务院有关部门在各自职责范围内负责个人信息保护和监督管理工作，地方人民政府有关部门依法履行个人信息保护和监督管理职责，那么，个人信用信息监管如何落实上述规定仍不无疑问。鉴于我国征信业监管相对比较成熟，建议维系目前的多头管理的信用监管模式，但需要明确各个信用监管部门之间的关系，清晰界定各自的监管职责，建立协同监管机制。

五、结 论

个人信用信息权益立法具有保护和利用的双重目的，该目的的实现依赖具体制度安排。这一制度安排必须充分尊重个人信用信息权益的特殊性——兼具私人利益和公共利益。个人信用信息的保护和利用涉及个人、信用信息处理者和政府三方，个人和政府之间处于弱关系，即存在结构洞，而信用信息处理者则处于结构洞位置。赋权固然是保护个人信用信息权益的重要手段，更应从个人、信用信息处理者和政府三方关系出发，更加关注信用信息处理者承担的保护义务，并辅之以政府的监管职责。这就形成了个人信用信息权益的双层结构：以知情权为基础的由知情权、决定权、修改权和修复权构成的自主权益与由信用信息处理者义务和政府监管职责构成的防御权益。就自主权益而言，应重视知情权的基础地位和作用，决定权、修改权、修复权的实现均建立在知情基础之上。除了依靠个人积极行权外，还要关切防御权益。这也回应了信用信息难以为个人控制的特点。为了更好地促进数字经济发展，信用信息处理者必须认真履行保护义务，政府必须切实履行监管职责，督促信用信息处理者落实保护义务。只有这样，信用信息处理者才能取信于个人，个人才能放心同意信用信息处理者处理个人信用信息，从而形成保护和利用的良性互动。